Le fait
Des chercheurs en cybersécurité ont publié des détails sur une faille critique dans le plugin WordPress Elementor Pro qui, si elle était exploitée, pourrait conduire à une exécution de code à distance (RCE). La vulnérabilité est identifiée sous le numéro CVE-2026-32475 et reçoit un score CVSS de 9,0/10.0. Elle a été décrite comme un cas d’« upload non restreint d’un fichier de type dangereux ».
Le contexte
La vulnérabilité concerne le module Forms d’Elementor Pro, en lien avec la gestion des fichiers soumis via les formulaires. Les détails ont été rendus publics par des chercheurs en sécurité qui ont documenté la nature de la faille et son potentiel d’exploitation.
L’impact et les échéances
- Impact principal : possibilité d’upload d’un fichier dangereux (par exemple PHP) pouvant aboutir à une exécution de code sur le serveur.
- Gravité : élevée — score CVSS 9,0/10.0, ce qui indique un risque important pour les sites vulnérables.
- Échéances : la source indique la divulgation des détails par les chercheurs ; le texte fourni ne précise pas si un correctif ou des versions affectées ont été publiés ni de calendrier de déploiement.
Ce qu’il faut retenir
Cette vulnérabilité dans Elementor Pro présente un risque sérieux pour les sites WordPress utilisant le module Forms et traitant des fichiers téléchargés. Les administrateurs de sites doivent considérer cette alerte comme prioritaire et suivre la source originale pour obtenir les informations officielles sur les versions touchées et les correctifs disponibles.
Source : The Hacker News
